Notre méthode

Chaque chiffre de Kreomnis Vigie vient d’une mesure calculée chaque nuit, datée et versionnée. Voici comment chacune est calculée, sur quelle période, ce qu’elle exclut, et la liste des vulnérabilités qu’elle compte : chacun peut recompter.

Définitions vitrine/1, score d’alerte score_alerte/1.

Nos sources

Kreomnis Vigie collecte des sources publiques, puis rédige chaque fiche en français. La liste est fermée : une source ajoutée apparaît ici.

CVE.org (MITRE)les identifiants CVE et leur publication officielle
NVD (NIST)la publication au NVD et le CVSS attribué par le NIST
GitHub Advisory Databaseles avis GitHub (GHSA), souvent avant le CVE
OSVles vulnérabilités des écosystèmes de paquets
CISA KEVle catalogue des vulnérabilités exploitées
CISA ICS et ADPles avis industriels et les compléments de la CISA
FIRST EPSSla probabilité d’exploitation à 30 jours
CERT-FR (ANSSI)les avis, alertes et rapports de menace
EUVD (ENISA)la base européenne des vulnérabilités
Red Hat, Ubuntu, SUSEles avis des distributions
Éditeursles bulletins de sécurité et les préavis de correctif
Exploits publics et modèles Nucleiles preuves d’exploitation publiées

Le score d’alerte

Le CVSS dit la gravité théorique d’une faille ; le score d’alerte Kreomnis dit l’urgence. Il additionne cinq familles de signaux, en ne retenant que le plus fort de chaque famille pour ne jamais compter deux fois la même information. La somme est plafonnée à 100, puis relevée par deux planchers. Le calcul est déterministe : les mêmes signaux donnent toujours le même score. Les deux échelles ne sont jamais fusionnées : la fiche montre les deux.

Les cinq familles du score d’alerte et leurs points
Famille	Points	Ce qui compte
Gravité	0 à 45	Le CVSS officiel, multiplié par 4,5. Sans CVSS officiel : la gravité annoncée par l’éditeur (critique 41, haute 32, moyenne 20, faible 9), celle d’une distribution, un score annoncé, le CVSS estimé par la plateforme (multiplié par 4), ou la famille de faille tirée de la CWE (de 6 à 22). Le plus fort seulement.
Exploitation	0 à 35	Inscrite au catalogue KEV : 35. Exploitation observée : 30. Exploit outillé (Metasploit, Nuclei) : 24. Preuve de concept publique : 16. Probabilité EPSS d’au moins 50 %, 10 % ou 1 % : 22, 14 ou 5. Le plus fort seulement.
Facilité	0 à 8	Exploitable par le réseau sans privilège ni action de l’utilisateur : 8. Par le réseau seulement : 4.
Correctif	0 à 4	Aucun correctif publié : 4.
Portée	0 à 8	Équipement exposé par nature (pare-feu, VPN, passerelle, messagerie, transfert de fichiers) : 8. Logiciel de socle très répandu (noyau, OpenSSL, serveurs web, Log4j…) : 5. Liste fermée, versionnée avec la formule.

Planchers. Une vulnérabilité inscrite au catalogue KEV vaut au moins 70 (Critique) ; une exploitation observée hors KEV, au moins 55 (Élevée). Non évaluable. Sans aucun signal de gravité ni d’exploitation, le score n’est pas calculé : la facilité, le correctif et la portée seuls ne suffisent pas.

Critique70 à 100
Élevée40 à 69
Modérée20 à 39
Faible1 à 19

Un CVSS de 9,8 sans aucune menace connue et corrigé donne « Élevée » (52), pas « Critique » : c’est voulu. Le score change de formule seulement par une nouvelle version (score_alerte/2), publiée ici.

Les mesures de la notation

Couverture du score à l’arrivée

Parmi les vulnérabilités arrivées dans Kreomnis Vigie sur la période, la part qui n’avait aucun CVSS officiel à leur arrivée, et parmi celles-ci la part que le score d’alerte a pu évaluer dès ce moment.

Calcul: On lit la première version de chaque fiche arrivée sur la période : sans CVSS officiel (ni 3.1 ni 4.0), et avec un niveau de score autre que « Non évaluable ». La première version d'une fiche est la plus ancienne version archivée, sinon la fiche actuelle.
Période: 90 jours glissants terminés à minuit UTC, bornés par la date de début de la mesure.
Exclusions: Les fiches rejetées. Les fiches arrivées avant le 28/10/2026, date de mise en service du score d’alerte.
Précision: À la minute (date d’arrivée dans Kreomnis Vigie).
Version: vitrine/1

Délai du CVSS officiel

Pour les vulnérabilités arrivées sans CVSS officiel, le temps écoulé entre leur arrivée dans Kreomnis Vigie, où le score d’alerte est calculé, et le premier CVSS officiel reçu.

Calcul: Médiane de la date du premier CVSS officiel moins la date d’arrivée, sur les fiches qui en ont reçu un avant la fin de la période. Le complément est la part qui n’en a toujours pas.
Période: 90 jours glissants terminés à minuit UTC, bornés par la date de début de la mesure.
Exclusions: Les fiches arrivées avec un CVSS officiel. Les fiches rejetées.
Précision: À la minute, d’après l’heure à laquelle Kreomnis Vigie a vu le CVSS officiel (une borne haute).
Version: vitrine/1

Classées avant le catalogue KEV

Parmi les vulnérabilités entrées au catalogue KEV de la CISA (exploitées) sur la période, la part que le score d’alerte classait déjà Élevée ou Critique avant leur entrée. Le complément dit, pour comparer, la part que le CVSS officiel notait 9 ou plus à la même date.

Calcul: Une vulnérabilité compte si le premier passage du score à Élevée ou Critique date d’un jour strictement antérieur à son entrée au KEV.
Période: 90 jours glissants terminés à minuit UTC, bornés par la date de début de la mesure.
Exclusions: Les entrées au KEV d’avant le 28/10/2026. Pour le complément, les vulnérabilités dont aucune version d’avant l’entrée au KEV n’est archivée.
Précision: Au jour : la CISA date l’entrée au KEV sans heure.
Version: vitrine/1

Ce que le score réordonne

Parmi les vulnérabilités notées 9 ou plus par le CVSS officiel, la part que le score d’alerte classe aussi Critique : celles qui sont exploitées, probables ou exposées. Les autres restent graves en théorie, mais moins urgentes.

Calcul: Sur les fiches publiées dans la période et dotées d’un CVSS officiel, état au moment du calcul : part des CVSS 9 ou plus dont le score est Critique ; le détail compte aussi les vulnérabilités sous 9 que le score classe Critique.
Période: 90 jours glissants terminés à minuit UTC, bornés par la date de début de la mesure.
Exclusions: Les fiches sans CVSS officiel. Les fiches rejetées.
Précision: À la minute (date de publication).
Version: vitrine/1

Les mesures de l’avance

Avance sur la publication du CVE

Les vulnérabilités suivies par Kreomnis Vigie au moins une heure avant la publication de leur CVE par CVE.org : sous un identifiant d’éditeur, un avis GitHub, un avis CERT-FR ou un identifiant Kreomnis (KSA).

Calcul: Pour chaque CVE publié sur la période : écart entre la publication du CVE et l’arrivée de la fiche dans Kreomnis Vigie ; on compte les écarts d’une heure ou plus et l’on donne leur médiane. Le complément est leur part parmi toutes les CVE de la période. La première version d'une fiche est la plus ancienne version archivée, sinon la fiche actuelle.
Période: 90 jours glissants terminés à minuit UTC, bornés par la date de début de la mesure.
Exclusions: Un écart de moins d’une heure (simultané, pas une avance). Les fiches rejetées. Une fiche importée par un rattrapage porte l’heure de l’import : elle joue contre nous.
Précision: À la minute. Les dates de publication du CVE d’avant la mise en service des jalons sont reconstituées depuis l’historique des fiches.
Version: vitrine/1

Suivies sans CVE (KSA)

Les vulnérabilités que Kreomnis Vigie suit sous un identifiant Kreomnis (KSA) faute de CVE, et parmi elles celles qui ont reçu un CVE ensuite.

Calcul: Total des fiches qui portent un identifiant KSA ; celles qui portent aussi un CVE ont reçu le leur depuis.
Période: 90 jours glissants terminés à minuit UTC, bornés par la date de début de la mesure.
Exclusions: Aucune période glissante : c’est un total depuis le 28/10/2026, date de création des identifiants KSA.
Précision: Au jour.
Version: vitrine/1

Préavis des éditeurs

Les correctifs annoncés par les éditeurs avant leur publication (préavis), relevés par Kreomnis Vigie, et ceux qui ont été liés depuis à un CVE.

Calcul: Nombre de préavis relevés sur la période ; un préavis est lié à un CVE seulement si l’annonce cite ce CVE. Quand 20 écarts au moins sont mesurés, médiane entre l’annonce et la publication du premier CVE cité.
Période: 90 jours glissants terminés à minuit UTC, bornés par la date de début de la mesure.
Exclusions: Les rapprochements par produit sans citation du CVE. Les préavis d’avant le 21/10/2026.
Précision: À la minute pour la détection de l’annonce, au jour pour la date de correctif annoncée.
Version: vitrine/1

Délai d’intégration par source

Le temps entre la publication d’une vulnérabilité à sa source et la création de sa fiche dans Kreomnis Vigie.

Calcul: Médiane et 90e centile de l’écart entre la publication d’origine et l’arrivée, par source de naissance, sur les fiches publiées et arrivées dans la période. Une source n’est rendue qu’à partir de 20 fiches.
Période: 90 jours glissants terminés à minuit UTC, bornés par la date de début de la mesure.
Exclusions: Les rattrapages d’archives (publication à la source avant la période).
Précision: À la minute, au jour pour les sources qui ne donnent qu’une date.
Version: vitrine/1

Publication au NVD

L’écart entre la publication d’un CVE par CVE.org et sa publication au NVD. Le NVD publie d’ordinaire dans l’heure : ce n’est pas un argument, c’est un repère.

Calcul: Médiane de la publication NVD moins la publication CVE.org, pour les fiches qui ont les deux dates.
Période: 90 jours glissants terminés à minuit UTC, bornés par la date de début de la mesure.
Exclusions: Les fiches sans date de publication NVD.
Précision: À la minute.
Version: vitrine/1

Délai de notation du NVD

Le temps entre la publication d’un CVE et l’attribution de son CVSS par le NIST (NVD).

Calcul: Médiane de la date où Kreomnis Vigie a vu le premier CVSS du NIST moins la publication du CVE. La date du NIST est notre observation : une borne haute, dite « au plus tard ».
Période: 90 jours glissants terminés à minuit UTC, bornés par la date de début de la mesure.
Exclusions: Les fiches dont le NIST n’a pas encore attribué de CVSS.
Précision: À la minute, au plus tard.
Version: vitrine/1

Avant l’avis CERT-FR

La part des vulnérabilités suivies au moins une heure avant la première révision de l’avis CERT-FR qui les cite. Le CERT-FR est une source que Kreomnis Vigie relaie et valorise : ce chiffre reste sur cette page.

Calcul: Pour chaque avis CERT-FR de la période : écart entre sa première révision et l’arrivée de la fiche ; médiane des écarts d’une heure ou plus.
Période: 90 jours glissants terminés à minuit UTC, bornés par la date de début de la mesure.
Exclusions: Un écart de moins d’une heure (simultané, pas une avance).
Précision: Au jour quand l’avis ne donne qu’une date.
Version: vitrine/1

Les volumes

Vulnérabilités suivies

Le nombre de fiches de Kreomnis Vigie au moment du calcul.

Calcul: Toutes les fiches, sauf les rejetées.
Période: 90 jours glissants terminés à minuit UTC, bornés par la date de début de la mesure.
Exclusions: Les fiches rejetées et celles absorbées par la fusion de doublons.
Précision: Au calcul.
Version: vitrine/1

Exploitées (KEV)

Le nombre de fiches inscrites au catalogue KEV de la CISA (exploitées), au moment du calcul.

Calcul: Toutes les fiches marquées KEV.
Période: 90 jours glissants terminés à minuit UTC, bornés par la date de début de la mesure.
Exclusions: Les fiches rejetées.
Précision: Au calcul.
Version: vitrine/1

Sources actives

Le nombre de sources collectées sans erreur au moment du calcul.

Calcul: Les sources dont le dernier passage est en bon état.
Période: 90 jours glissants terminés à minuit UTC, bornés par la date de début de la mesure.
Exclusions: Les sources en erreur ou suspendues.
Précision: Au calcul.
Version: vitrine/1

Ce que nous ne mesurons pas

Nous ne recalculons pas le score sur des versions de fiches antérieures au 28/10/2026 pour dire qu’il « aurait vu juste » : c’est un exercice de calibration, pas une preuve.
Nous ne nous comparons à aucun concurrent nommé : les comparaisons portent sur des dates publiques de tiers (CVE.org, NVD, CISA, éditeurs).
Nous ne publions aucun chiffre par client, ni le nombre d’alertes envoyées : les mesures ne lisent que le catalogue partagé.
Nous ne montrons pas de chiffre sous 20 cas pour un taux ou une médiane : la carte dit « Mesure en cours » et l’effectif atteint.
Nous ne montrons pas d’exemple sans le taux qui le contient : les réussites et la part de cas où le score n’avait pas vu venir.

Une question sur un chiffre ? Chaque liste ci-dessus renvoie aux fiches publiques : toutes les vulnérabilités.